Zugriffssteuerungsvererbung

Zugriffssteuerungseinträge (Access Control Entries, ACEs) in einer Zugriffssteuerungsliste (Access Control List, ACL) können zu einer von zwei Kategorien gehören:

• Effektive ACL: ACEs in dieser Kategorie gelten für das Objekt.
• ACL erben: ACEs in dieser Kategorie werden von Objekten geerbt, die im Container erstellt wurden.

Jede ACE in der DACL kann zu einer oder mehreren Kategorien gehören. Die Kategorien, für die eine ACE gehört, werden durch die in der ACE festgelegten Vererbungssteuerungsflags bestimmt.

Drei Vererbungssteuerungsflags können in der AceFlags Eigenschaft einer ACE festgelegt werden.

Flagge	Beschreibung
ADS_ACEFLAG_INHERIT_ACE	Dieses Flag gibt an, dass die ACE Teil der erbten ACL ist und dass untergeordnete Objekte die Vererbungssteuerelement-Flags dieser ACE erben.
ADS_ACEFLAG_NO_PROPAGATE_INHERIT_ACE	Dieses Flag gibt an, dass die ACE Teil der erbten ACL ist, aber keine Vererbungssteuerungskennzeichnungen an direkte untergeordnete Objekte (direkte Nachfolger) weitergegeben werden und die ACE für die direkten untergeordneten Objekte wirksam ist.
ADS_ACEFLAG_INHERIT_ONLY_ACE	Dieses Kennzeichen gibt an, dass die ACE nicht Teil einer effektiven ACL ist. Wenn dieses Flag nicht festgelegt ist, ist die ACE Teil der effektiven ACL. Dieses Flag ist nützlich, um Berechtigungen festzulegen, die von Unterobjekten vererbbar sind, sich jedoch nicht auf die Barrierefreiheit des Containers auswirken. Wenn eine ACE beispielsweise von Benutzerobjekten in einer Organisationseinheit geerbt werden soll, ist es wahrscheinlich, dass sie nicht für den Zugriff auf die Organisationseinheit selbst erzwungen werden sollte.

Die kennzeichnungen ADS_ACEFLAG_NO_PROPAGATE_INHERIT_ACE und ADS_ACEFLAG_INHERIT_ONLY_ACE sind nur dann sinnvoll, wenn ADS_ACEFLAG_INHERIT_ACE vorhanden ist. Dies liegt daran, dass das ADS_ACEFLAG_INHERIT_ACE-Flag einem vererbbaren ACE das Vererbungsverhalten hinzufügt, aber nicht den Typ der Vererbung definiert. Die flags ADS_ACEFLAG_NO_PROPAGATE_INHERIT_ACE und ADS_ACEFLAG_INHERIT_ONLY_ACE definieren eine bestimmte Art von Vererbungsverhalten.

Es ist wichtig zu beachten, dass das System auch die folgenden Flags basierend auf dem Typ und Zustand der ACE festlegt.

Flagge	Beschreibung
ADS_ACEFLAG_INHERITED_ACE	Dieses Flag gibt an, dass die ACE geerbt wurde.
ADS_ACEFLAG_VALID_INHERIT_FLAGS	Dieses Kennzeichen gibt an, dass die Vererbungskennzeichnungen gültig sind.

In der folgenden Tabelle sind die Auswirkungen der verschiedenen Kennzeichenkombinationen für die AceFlags Eigenschaft einer ACE aufgeführt.

Flagge	Auswirkung auf Objekte, die die ACE enthalten	Auswirkung auf direkte untergeordnete Objekte	Auswirkung auf Objekte unter direkten untergeordneten Elementen
Es wurden keine Kennzeichnungen festgelegt.	Effektive ACE: ACE gilt für das Objekt.	ACE wird nicht geerbt.	ACE wird nicht geerbt.
ADS_ACEFLAG_INHERIT_ACE	Effektive ACE	ACE wird geerbt. ACE ist eine effektive ACE.	ACE wird geerbt. ACE ist eine effektive ACE.
| ADS_ACEFLAG_INHERIT_ACEADS_ACEFLAG_INHERIT_ONLY_ACE	Keine effektive ACE: ACE gilt nicht für das Objekt.	ACE wird geerbt. ACE ist eine effektive ACE.	ACE wird geerbt. ACE ist eine effektive ACE.
| ADS_ACEFLAG_INHERIT_ACEADS_ACEFLAG_NO_PROPAGATE_INHERIT_ACE	Effektive ACE	ACE wird geerbt, aber ohne Vererbungskennzeichnungen. ACE ist eine effektive ACE	ACE wird nicht geerbt.
| ADS_ACEFLAG_INHERIT_ACE | ADS_ACEFLAG_INHERIT_ONLY_ACEADS_ACEFLAG_NO_PROPAGATE_INHERIT_ACE	Keine effektive ACE.	ACE wird geerbt, aber ohne Vererbungskennzeichnungen. ACE ist eine effektive ACE.	ACE wird nicht geerbt.